ubezpieczenie cyber ryzyko cyber ataku dane osobowe dane wrażliwe

Dane osobowe

14 marca 2019 / / 1 komentarz

Definicja

Ustawa o ochronie danych osobowych (UODO) z 1997 roku definiuje dane osobowe jako wszelkie informacje (imię i nazwisko, numer identyfikacyjny, jeden lub kilka specyficznych czynników określających cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne), które dotyczą zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. RODO uściśla powyższą definicję dodając do czynników umożliwiających identyfikację: dane o lokalizacji, identyfikator internetowy oraz czynnik określający cechy genetyczne. Jak należy rozumieć nowe terminy wprowadzone przez RODO?

Geodane

Dane o lokalizacji odnoszą się do informacji wytwarzanych przez użytkowników aplikacji mobilnych. Są to wszelkie informacje wskazujące położenie geograficzne urządzenia użytkownika publicznej usługi łączności elektronicznej (wg regulacji PECR). Obejmują one również informacje o wymiarach urządzenia, kierunku przemieszczania się użytkownika, czasie rejestracji danych o lokalizacji. Geodane pozyskiwane z wbudowanych w urządzenia nadajników GPS, Bluetootha czy Wi-Fi połączone z konkretnym użytkownikiem mogą stanowić identyfikator osoby fizycznej, np. częste wizyty w szpitalu onkoligicznym, generowane przez aplikacje do zamawiania przejazdów. Jakie urządzenia i aplikacje mogą tworzyć dane o lokalizacji? To między innymi wszelkie aplikacje mapowe, pogodowe, do łączenia kierowców i pasażerów i połączone z nimi smartfony i tablety czy krokomierze połączone z aplikacjami fitness.

Identyfikator internetowy

To wszelkie identyfikatory przypisane użytkownikom przez ich urządzenia, aplikacje, narzędzia, protokoły, etykiety RFID itp., które pozostawiają ślady obecności użytkownika. W połączeniu z unikatowymi identyfikatorami i innymi danymi pozyskiwanymi przez serwery mogą tworzyć profile, służące do identyfikowania osób fizycznych. Gdzie spotykamy się z identyfikatorem internetowym? Popularne identyfikatory to adresy IP komputerów, pliki cookie, kody kreskowe na zakupionych produktach lub przyklejone na walizkach, chipy wszyte w ubrania.

Dane genetyczne

To wyjątkowe, niepowtarzalne informacje o fizjologii i stanie zdrowia osoby fizycznej, od której pobrano próbkę biologiczną. Pozwalają nie tylko na jednoznaczną identyfikację konkretnej osoby ale także na pozyskanie informacji na temat cech jej rodziny. Dane genetyczne pobierane są podczas badań, w tym także prenatalnych i mogą być gromadzone dla celów naukowych w tzw. biobankach. Ze względu na ich wartość ekonomiczną dane genetyczne stają się przedmiotem zainteresowań biznesu, jako potencjalny czynnik minimalizacji ryzyka działalności.

Obok danych genetycznych na uwagę zasługują także dane biometryczne, umożliwiające jednoznaczną identyfikację osoby, od której zostały pobrane. Należą do nich skany linii papilarnych, rysów twarzy czy siatkówki oka. Są to dane, których pobranie od niedawna możliwe jest wyłącznie za dobrowolną zgodą osoby fizycznej.

Kryterium danych osobowych

Zarówno ustawa o ochronie danych osobowych, jak i RODO za główne kryterium uznania informacji umożliwiających identyfikację osoby fizycznej za daną osobową przyjmuje proces i kontekst ich przetwarzania. Ustala się zatem, że dane osobowe to te informacje, które umożliwiają identyfikację niewielkim nakładem pracy – kosztem i czasem, uwzględniając dostępną w momencie ich przetwarzania technologię oraz postęp technologiczny. Kryterium nie jest więc sztywne i opiera się na racjonalnych i prawdopodobnych czynnikach obiektywnych.

Dane wrażliwe

To szczególna kategoria danych osobowych, których przetwarzanie jest zabronione, poza wyjątkami określonymi szczegółowo w ustawie. Jakie informacje są sensytywne?

  • dane ujawniające pochodzenie rasowe lub etniczne,
  • poglądy polityczne,
  • dane genetyczne,
  • przekonania religijne lub światopoglądowe,
  • dane biometryczne,
  • przynależność do związków zawodowych,
  • informacje dotyczące stanu zdrowia.

Ustawa zakłada, że informacje wrażliwe mogą być przetwarzane tylko w uzasadnionych przypadkach, nie naruszających interesu osoby, której dotyczą lub jeśli osoba wyraziła wyraźną dobrowolną zgodę na ich przetwarzanie. Przypadki te wymieniono enumeratywnie w ust. 2 art. 9 RODO.

Przetwarzanie danych osobowych

Definicja przetwarzania danych osobowych wprowadzona przez ustawę z 1997 roku w zasadzie nie zmieniła się po regulacji RODO. Bardziej szczegółowo dookreślono czynności dokonywane na danych osobowych, jakie uznaje się za przetwarzanie. Są to:

  • zbieranie,
  • utrwalanie,
  • organizowanie,
  • porządkowanie,
  • przechowywanie,
  • adaptowanie,
  • modyfikowanie,
  • pobieranie,
  • przeglądanie,
  • wykorzystywanie,
  • ujawnianie poprzez przesyłanie, rozpowszechnianie lub innego rodzaju udostępnianie,
  • dopasowanie, łączenie,
  • ograniczanie,
  • usuwanie i niszczenie.

Jeśli przedsiębiorstwo przetwarza dane osobowe, jest zobowiązane przetwarzać je zgodnie z określonymi ustawowo zasadami. Przede wszystkim musi zapewnić danym osobowym klientów optymalną ochronę oraz zatrudniać administratora danych osobowych, odpowiedzialnego za przestrzeganie przepisów o ochronie. Istotne jest również, aby przetwarzać dane wyłącznie w zakresie, w jakim jest to niezbędne. Ponadto przetwarzanie danych osobowych przez przedsiębiorstwo wymaga spełnienia określonych ustawowo warunków:

  • zgody osoby, której dotyczą,
  • przetwarzania danych w sytuacji, gdy jest to niezbędne do: spełnienia obowiązku prawa, realizacji określonych prawem zadań dla dobra publicznego, realizacji prawnie usprawiedliwionych celów wykonywanych przez administratorów  lub odbiorców danych (np. marketing bezpośredni własnych produktów lub usług czy dochodzenie roszczeń z tytułu prowadzonej działalności), realizacji umowy, której stroną jest osoba, której dane zawiera umowa.

Kary

Jeśli przedsiębiorstwa przetwarzające dane osobowe klientów nie przestrzegają przepisów ustawy np. nie zachowując właściwej ochrony lub nie posiadając zgody klientów na przetwarzanie ich danych, muszą liczyć się z konsekwencjami prawnymi. RODO znacząco rozbudowało zakres kar w stosunku do ustawy z 1997 roku. Za naruszenia prawa przepisów o ochronie danych osobowych ustawa przewiduje kary pieniężne w dwóch progach w zależności od rodzaju naruszeń – pierwszy próg to 10 milionów euro lub 2% rocznego obrotu. Taka grzywna może być przyznana za niezgłoszenie naruszeń organowi nadzorczemu lub osobie, której dane dotyczą.  Drugi próg to 20 mln euro lub 4% rocznego obrotu firmy, jako grzywna na przykład za uniemożliwienie skorzystania z „prawa do bycia zapomnianym”. Poza karami finansowymi prawo zakłada również kary pozbawienia wolności do lat 2 i do lat 3 w przypadku danych wrażliwych.

Cyber atak

Przedsiębiorstwo przetwarzające dane osobowe powinno również liczyć się z przestępczością cybernetyczną. Wymuszenie czy kradzież danych osobowych mogą być w skutkach bardziej dotkliwe niż kary, jakie zakłada RODO. Cyber przestępczość jest w zasadzie nieprzewidywalna, ewoluuje wraz z rozwojem zabezpieczeń. Przykłady ze świata pokazują, że nawet największe firmy nie są w stanie zabezpieczyć się przed cyber atakiem. Nie oznacza to, że na kradzież danych narażone są wyłącznie  duże przedsiębiorstwa. Wprost przeciwnie, mała i średnia przedsiębiorczość znacznie częściej staje się celem ataku. Dzieje się tak, ponieważ firmy z sektora MŚP korzystają z przestarzałych lub nieskutecznych rozwiązań zabezpieczających. Zbyt mało firm stosuje także zasady polityki bezpieczeństwa.  Co istotne skutkiem cyber ataku jest nie tylko utrata dobrego imienia i zaufania klientów ale także zaburzenie płynności finansowej firmy.

Cyber ubezpieczenie

Przestój w działalności, koszty przywrócenia bezpiecznego stanu, odzyskania utraconych danych czy kary nałożone przez Urząd Ochrony Danych Osobowych generują niebagatelne straty. Przedsiębiorstwa racjonalnie zarządzające ryzykiem, zabezpieczają się na okoliczności przestępczości cybernetycznej właściwą cyber polisą.

 

NASTĘPNY

ubezpieczenie cyber ryzyko zarządzanie ryzykiem cyber przestępstwo RODO utrata danych osobowych

Cyber ryzyko w Twojej firmie

17 sierpnia 2018 / / Brak komentarzy

O ryzyku i ochronie bezpieczeństwa informacji

Na początek zadajmy sobie kilka pytań:
1. Czy Twoja firma przechowuje dane osobowe albo dane „wrażliwe”, które trzeba chronić?
2. Czy ich ujawnienie mogłoby narazić kogoś na szkodę lub stanowiłoby naruszenie prawa?
3. Czy dane te tworzą wartość Twojej firmy, a ich utrata lub ujawnienie może stanowić szkodę?
4. Czy Twoja firma wykorzystuje system informatyczny, do którego brak dostępu lub którego utrata wiarygodności może spowodować przestój lub znacząco utrudnić funkcjonowanie firmy?
5. Czy wiarygodność Twojej firmy jest ważna dla Twoich klientów?
6. Czy do promocji swoich usług lub produktów wykorzystujesz nowe technologie (np. media społecznościowe, stronę internetową, mailing)?

Odpowiedź TAK na którekolwiek z wyżej postawionych pytań powinna skłonić Cię do przemyślenia zakupu ubezpieczenia Cyber.
Nawet wtedy, gdy na stałe zatrudniasz specjalistę w zakresie informatyki śledczej.

Zarządzanie ryzykiem

Jak ważnym zagadnieniem jest bezpieczeństwo informatyczne przedsiębiorstw, łatwo się zorientować nie tylko z bieżących doniesień prasowych, ale także z analizy tego, w jakim stopniu procesy w firmie są zależne od IT – od komunikacji, przez dostęp do zasobów cyfrowych, po organizację procesów biznesowych. Ile danych osób trzecich w związku z prowadzoną działalnością przyjmujemy, stając się za nie odpowiedzialnymi – od danych osobowych po poufne informacje handlowe.
Ubezpieczenie cyber nie zastąpi kompleksowego zarządzania bezpieczeństwem informacji, stanowi jednak jego istotny element.

Hybrydowy charakter polisy cyber

Ubezpieczenie Cyber jest dzisiaj najszybciej rozwijającą się gałęzią ubezpieczeń na świecie, pokrywającą w jednej polisie:

– odpowiedzialność cywilną za wyciek lub utratę danych,
– odpowiedzialność cywilną za naruszenie dóbr osobistych i praw własności intelektualnej w przekazie cyfrowym,
– odpowiedzialność cywilną i koszty reakcji w razie naruszenia bezpieczeństwa własnych komputerów, skutkujące usunięciem lub zmianą danych, wysyłaniem szkodliwego wirusa, odmową wykonania należnej komuś usługi itp.,
– koszty obrony oraz kary w przypadku naruszenia prawa do prywatności,
– koszt odtworzenia danych i zysk utracony przez ubezpieczonego na skutek przerwy w działalności spowodowanej awarią systemu IT.

Jest to zatem ubezpieczenie o charakterze hybrydowym, zawierające w sobie elementy pokrycia third party loss i first party loss. To ubezpieczenie uwzględniające ryzyko odpowiedzialności cywilnej, ubezpieczenie niektórych kosztów własnych, ubezpieczenie odpowiedzialności z tytułu kar o charakterze administracyjnym, ubezpieczenie kosztów odtworzenia danych, a także utracony zysk wynikający z awarii systemu informatycznego ubezpieczonego, uniemożliwiającej prowadzenie działalności w określonym okresie.

Termin cyber kojarzy się z zagrożeniem wyłącznie ‘elektronicznym’ lub ‘internetowym’, dotyczącym danych cyfrowych i systemów IT. W rzeczywistości ubezpieczenie dawać powinno znacznie szerszą ochronę, obejmując ujawnienie lub utratę danych poufnych, korespondencji i dokumentów w innych formatach – na papierze i nośnikach analogowych. Ubezpieczenie cyber ma za zadanie zapewnić dostęp ubezpieczonemu do specjalistycznego know-how agencji public relations, ekspertów ds. ochrony danych oraz systemów IT i kryminalistyki informatycznej (cyber forensics), prawników z zakresu prawa medialnego, prawa pracy, prawa telekomunikacyjnego oraz ochrony danych osobowych.

Elementy ochrony

W typowym ubezpieczeniu cyber spotykamy z reguły następujące elementy ochrony ubezpieczeniowej:

Ubezpieczenie odpowiedzialności cywilnej i kosztów obrony w sprawach o naruszenie prywatności
obejmujące nie tylko odpowiedzialność za nielegalny wyciek danych osobowych (w tym danych wrażliwych) oraz firmowych danych poufnych, lecz także odpowiedzialność wynikającą z wszelkiego naruszenia prawa do prywatności, prawa do wizerunku, itp.

Kary administracyjne za naruszenie prywatności

ubezpieczenie umożliwia zwrot kosztów poniesionych w związku z nałożeniem kar i grzywien administracyjnych lub cywilnych, będących konsekwencją postępowań regulacyjnych o naruszenie prywatności. Dotyczy to także pogwałcenia prawa dotyczącego ochrony danych, w szczególności Ustawy o ochronie danych osobowych – w tym kar nałożonych przez GIODO. Pokryte powinny być także koszty obrony w takich postępowaniach.

Koszty naruszenia bezpieczeństwa informacji

W tym zakresie ubezpieczenie cyber umożliwia zwrot wydatków poniesionych na skutek naruszenia bezpieczeństwa danych osobowych – tak klientów, jak i pracowników ubezpieczonego. Naruszenie danych może polegać na ich utracie, ujawnieniu, uszkodzeniu, kradzieży, wycieku itd.
Z reguły powinien być pokryty zwrot kosztów poniesionych na:

– agencję PR wynajętą do zapobieżenia lub ograniczenia szkód w wizerunku,
– badania z zakres

u kryminalistyki informatycznej oraz obsługę prawną służącą ustaleniu obowiązków ubezpieczonego wynikających z przepisów o ochronie danych,
– wymagane prawem powiadomienie dotkniętych zagrożeniem klientów, a także monitorowanie i podtrzymanie poziomu ich zaufania.

Odpowiedzialność cywilna i koszty obrony w sprawach o naruszenie bezpieczeństwa informacji
Zakres ten obejmuje odpowiedzialność za:

– brak możliwości korzystania z systemu IT ubezpieczonego przez klientów i inne uprawnione osoby trzecie,
– bezprawny dostęp do tego systemu, jego wykorzystanie lub dopuszczenie do fałszywej z niego komunikacji (np. phishing), umożliwiające zainfekowanie, kradzież, wykasowanie lub uszkodzenie danych bądź umożliwiające atak na system lub usługę sieciową osoby trzeciej w celu uniemożliwienia ich działania,
– dopuszczenie do rozsyłania wirusa z systemu IT ubezpieczonego.

Odpowiedzialność multimedialna

Zakres ten z reguły obejmuje ochronę w przypadku zarzutów o:

– zniesławienie, znieważenie i oszczerstwo,
– pogwałcenie prawa do prywatności, naruszenie praw autorskich i innych praw własności intelektualnej (z wyłączeniem jednak naruszenia praw patentowych) podczas publikowania treści w formie elektronicznej (przez strony internetowe, media społecznościowe, e-mailing, newslettery itp.) oraz nieelektronicznej. Można powiedzieć, że w tym zakresie jest to ubezpieczenie OC zawodowej wydawcy, gdyż obecnie prawie każdy publikuje i udostępnia osobom trzecim rozmaite treści, narażając się przy tym na ryzyko.

Cyber wymuszenie

Jest to element zakresu ochrony ubezpieczeniowej podobny do ubezpieczenia kidnap & ransom (K&R), ale w zakresie bezpieczeństwa informacji. Zakres ten powinien zapewnić środki finansowe na przeciwdziałanie celowemu:

– wprowadzeniu szkodliwego wirusa do systemu IT ubezpieczonego,
– przerwaniu pracy tego systemu,
– zniekształcaniu, niszczeniu lub rozpowszechnianiu danych osobowych lub poufnych informacji firmowych przez działającą umyślnie osobę trzecią.

Zakres ten obejmuje:

– koszty oceny tego zagrożenia i adekwatnej reakcji na nie (honoraria specjalistów ds. zarządzania kryzysowego),
– refundację wymuszonej oraz uzasadnionej ekonomicznie płatności na rzecz osoby faktycznie mogącej dokonać powyższych czynów.

Utracony zysk i koszty odtworzenia danych

Ochrona ubezpieczeniowa dotyczy utraconego zysku i kosztów poniesionych na skutek naruszenia bezpieczeństwa prowadzącego do:

– zakłócenia pracy systemu IT lub jego awarii,
– braku możliwości dostępu i korzystania z niego przez uprawnione osoby trzecie. Pokrywa także koszty przywrócenia lub odtworzenia zasobów cyfrowych do stanu bezpośrednio sprzed szkody.

 

NASTĘPNY

ubezpieczenie cyber ryzyko zarządzanie ryzykiem cyber przestępstwo RODO utrata danych osobowych

Cyber ryzyko w Twojej firmie

17 sierpnia 2018 / / Brak komentarzy

O ryzyku i ochronie bezpieczeństwa informacji

Na początek zadajmy sobie kilka pytań:
1. Czy Twoja firma przechowuje dane osobowe albo dane „wrażliwe”, które trzeba chronić?
2. Czy ich ujawnienie mogłoby narazić kogoś na szkodę lub stanowiłoby naruszenie prawa?
3. Czy dane te tworzą wartość Twojej firmy, a ich utrata lub ujawnienie może stanowić szkodę?
4. Czy Twoja firma wykorzystuje system informatyczny, do którego brak dostępu lub którego utrata wiarygodności może spowodować przestój lub znacząco utrudnić funkcjonowanie firmy?
5. Czy wiarygodność Twojej firmy jest ważna dla Twoich klientów?
6. Czy do promocji swoich usług lub produktów wykorzystujesz nowe technologie (np. media społecznościowe, stronę internetową, mailing)?

Odpowiedź TAK na którekolwiek z wyżej postawionych pytań powinna skłonić Cię do przemyślenia zakupu ubezpieczenia Cyber.
Nawet wtedy, gdy na stałe zatrudniasz specjalistę w zakresie informatyki śledczej.

Zarządzanie ryzykiem

Jak ważnym zagadnieniem jest bezpieczeństwo informatyczne przedsiębiorstw, łatwo się zorientować nie tylko z bieżących doniesień prasowych, ale także z analizy tego, w jakim stopniu procesy w firmie są zależne od IT – od komunikacji, przez dostęp do zasobów cyfrowych, po organizację procesów biznesowych. Ile danych osób trzecich w związku z prowadzoną działalnością przyjmujemy, stając się za nie odpowiedzialnymi – od danych osobowych po poufne informacje handlowe.
Ubezpieczenie cyber nie zastąpi kompleksowego zarządzania bezpieczeństwem informacji, stanowi jednak jego istotny element.

Hybrydowy charakter polisy cyber

Ubezpieczenie Cyber jest dzisiaj najszybciej rozwijającą się gałęzią ubezpieczeń na świecie, pokrywającą w jednej polisie:

– odpowiedzialność cywilną za wyciek lub utratę danych,
– odpowiedzialność cywilną za naruszenie dóbr osobistych i praw własności intelektualnej w przekazie cyfrowym,
– odpowiedzialność cywilną i koszty reakcji w razie naruszenia bezpieczeństwa własnych komputerów, skutkujące usunięciem lub zmianą danych, wysyłaniem szkodliwego wirusa, odmową wykonania należnej komuś usługi itp.,
– koszty obrony oraz kary w przypadku naruszenia prawa do prywatności,
– koszt odtworzenia danych i zysk utracony przez ubezpieczonego na skutek przerwy w działalności spowodowanej awarią systemu IT.

Jest to zatem ubezpieczenie o charakterze hybrydowym, zawierające w sobie elementy pokrycia third party loss i first party loss. To ubezpieczenie uwzględniające ryzyko odpowiedzialności cywilnej, ubezpieczenie niektórych kosztów własnych, ubezpieczenie odpowiedzialności z tytułu kar o charakterze administracyjnym, ubezpieczenie kosztów odtworzenia danych, a także utracony zysk wynikający z awarii systemu informatycznego ubezpieczonego, uniemożliwiającej prowadzenie działalności w określonym okresie.

Termin cyber kojarzy się z zagrożeniem wyłącznie ‘elektronicznym’ lub ‘internetowym’, dotyczącym danych cyfrowych i systemów IT. W rzeczywistości ubezpieczenie dawać powinno znacznie szerszą ochronę, obejmując ujawnienie lub utratę danych poufnych, korespondencji i dokumentów w innych formatach – na papierze i nośnikach analogowych. Ubezpieczenie cyber ma za zadanie zapewnić dostęp ubezpieczonemu do specjalistycznego know-how agencji public relations, ekspertów ds. ochrony danych oraz systemów IT i kryminalistyki informatycznej (cyber forensics), prawników z zakresu prawa medialnego, prawa pracy, prawa telekomunikacyjnego oraz ochrony danych osobowych.

Elementy ochrony

W typowym ubezpieczeniu cyber spotykamy z reguły następujące elementy ochrony ubezpieczeniowej:

Ubezpieczenie odpowiedzialności cywilnej i kosztów obrony w sprawach o naruszenie prywatności
obejmujące nie tylko odpowiedzialność za nielegalny wyciek danych osobowych (w tym danych wrażliwych) oraz firmowych danych poufnych, lecz także odpowiedzialność wynikającą z wszelkiego naruszenia prawa do prywatności, prawa do wizerunku, itp.

Kary administracyjne za naruszenie prywatności

ubezpieczenie umożliwia zwrot kosztów poniesionych w związku z nałożeniem kar i grzywien administracyjnych lub cywilnych, będących konsekwencją postępowań regulacyjnych o naruszenie prywatności. Dotyczy to także pogwałcenia prawa dotyczącego ochrony danych, w szczególności Ustawy o ochronie danych osobowych – w tym kar nałożonych przez GIODO. Pokryte powinny być także koszty obrony w takich postępowaniach.

Koszty naruszenia bezpieczeństwa informacji

W tym zakresie ubezpieczenie cyber umożliwia zwrot wydatków poniesionych na skutek naruszenia bezpieczeństwa danych osobowych – tak klientów, jak i pracowników ubezpieczonego. Naruszenie danych może polegać na ich utracie, ujawnieniu, uszkodzeniu, kradzieży, wycieku itd.
Z reguły powinien być pokryty zwrot kosztów poniesionych na:

– agencję PR wynajętą do zapobieżenia lub ograniczenia szkód w wizerunku,
– badania z zakres

u kryminalistyki informatycznej oraz obsługę prawną służącą ustaleniu obowiązków ubezpieczonego wynikających z przepisów o ochronie danych,
– wymagane prawem powiadomienie dotkniętych zagrożeniem klientów, a także monitorowanie i podtrzymanie poziomu ich zaufania.

Odpowiedzialność cywilna i koszty obrony w sprawach o naruszenie bezpieczeństwa informacji
Zakres ten obejmuje odpowiedzialność za:

– brak możliwości korzystania z systemu IT ubezpieczonego przez klientów i inne uprawnione osoby trzecie,
– bezprawny dostęp do tego systemu, jego wykorzystanie lub dopuszczenie do fałszywej z niego komunikacji (np. phishing), umożliwiające zainfekowanie, kradzież, wykasowanie lub uszkodzenie danych bądź umożliwiające atak na system lub usługę sieciową osoby trzeciej w celu uniemożliwienia ich działania,
– dopuszczenie do rozsyłania wirusa z systemu IT ubezpieczonego.

Odpowiedzialność multimedialna

Zakres ten z reguły obejmuje ochronę w przypadku zarzutów o:

– zniesławienie, znieważenie i oszczerstwo,
– pogwałcenie prawa do prywatności, naruszenie praw autorskich i innych praw własności intelektualnej (z wyłączeniem jednak naruszenia praw patentowych) podczas publikowania treści w formie elektronicznej (przez strony internetowe, media społecznościowe, e-mailing, newslettery itp.) oraz nieelektronicznej. Można powiedzieć, że w tym zakresie jest to ubezpieczenie OC zawodowej wydawcy, gdyż obecnie prawie każdy publikuje i udostępnia osobom trzecim rozmaite treści, narażając się przy tym na ryzyko.

Cyber wymuszenie

Jest to element zakresu ochrony ubezpieczeniowej podobny do ubezpieczenia kidnap & ransom (K&R), ale w zakresie bezpieczeństwa informacji. Zakres ten powinien zapewnić środki finansowe na przeciwdziałanie celowemu:

– wprowadzeniu szkodliwego wirusa do systemu IT ubezpieczonego,
– przerwaniu pracy tego systemu,
– zniekształcaniu, niszczeniu lub rozpowszechnianiu danych osobowych lub poufnych informacji firmowych przez działającą umyślnie osobę trzecią.

Zakres ten obejmuje:

– koszty oceny tego zagrożenia i adekwatnej reakcji na nie (honoraria specjalistów ds. zarządzania kryzysowego),
– refundację wymuszonej oraz uzasadnionej ekonomicznie płatności na rzecz osoby faktycznie mogącej dokonać powyższych czynów.

Utracony zysk i koszty odtworzenia danych

Ochrona ubezpieczeniowa dotyczy utraconego zysku i kosztów poniesionych na skutek naruszenia bezpieczeństwa prowadzącego do:

– zakłócenia pracy systemu IT lub jego awarii,
– braku możliwości dostępu i korzystania z niego przez uprawnione osoby trzecie. Pokrywa także koszty przywrócenia lub odtworzenia zasobów cyfrowych do stanu bezpośrednio sprzed szkody.

NASTĘPNY

ubezpieczenie cyber ryzyko zarządzanie ryzykiem cyber przestępstwo RODO utrata danych osobowych

Cyber ryzyko w Twojej firmie

17 sierpnia 2018 / / Brak komentarzy

O ryzyku i ochronie bezpieczeństwa informacji

Na początek zadajmy sobie kilka pytań:
1. Czy Twoja firma przechowuje dane osobowe albo dane „wrażliwe”, które trzeba chronić?
2. Czy ich ujawnienie mogłoby narazić kogoś na szkodę lub stanowiłoby naruszenie prawa?
3. Czy dane te tworzą wartość Twojej firmy, a ich utrata lub ujawnienie może stanowić szkodę?
4. Czy Twoja firma wykorzystuje system informatyczny, do którego brak dostępu lub którego utrata wiarygodności może spowodować przestój lub znacząco utrudnić funkcjonowanie firmy?
5. Czy wiarygodność Twojej firmy jest ważna dla Twoich klientów?
6. Czy do promocji swoich usług lub produktów wykorzystujesz nowe technologie (np. media społecznościowe, stronę internetową, mailing)?

Odpowiedź TAK na którekolwiek z wyżej postawionych pytań powinna skłonić Cię do przemyślenia zakupu ubezpieczenia Cyber.
Nawet wtedy, gdy na stałe zatrudniasz specjalistę w zakresie informatyki śledczej.

Zarządzanie ryzykiem

Jak ważnym zagadnieniem jest bezpieczeństwo informatyczne przedsiębiorstw, łatwo się zorientować nie tylko z bieżących doniesień prasowych, ale także z analizy tego, w jakim stopniu procesy w firmie są zależne od IT – od komunikacji, przez dostęp do zasobów cyfrowych, po organizację procesów biznesowych. Ile danych osób trzecich w związku z prowadzoną działalnością przyjmujemy, stając się za nie odpowiedzialnymi – od danych osobowych po poufne informacje handlowe.
Ubezpieczenie cyber nie zastąpi kompleksowego zarządzania bezpieczeństwem informacji, stanowi jednak jego istotny element.

Hybrydowy charakter polisy cyber

Ubezpieczenie Cyber jest dzisiaj najszybciej rozwijającą się gałęzią ubezpieczeń na świecie, pokrywającą w jednej polisie:

– odpowiedzialność cywilną za wyciek lub utratę danych,
– odpowiedzialność cywilną za naruszenie dóbr osobistych i praw własności intelektualnej w przekazie cyfrowym,
– odpowiedzialność cywilną i koszty reakcji w razie naruszenia bezpieczeństwa własnych komputerów, skutkujące usunięciem lub zmianą danych, wysyłaniem szkodliwego wirusa, odmową wykonania należnej komuś usługi itp.,
– koszty obrony oraz kary w przypadku naruszenia prawa do prywatności,
– koszt odtworzenia danych i zysk utracony przez ubezpieczonego na skutek przerwy w działalności spowodowanej awarią systemu IT.

Jest to zatem ubezpieczenie o charakterze hybrydowym, zawierające w sobie elementy pokrycia third party loss i first party loss. To ubezpieczenie uwzględniające ryzyko odpowiedzialności cywilnej, ubezpieczenie niektórych kosztów własnych, ubezpieczenie odpowiedzialności z tytułu kar o charakterze administracyjnym, ubezpieczenie kosztów odtworzenia danych, a także utracony zysk wynikający z awarii systemu informatycznego ubezpieczonego, uniemożliwiającej prowadzenie działalności w określonym okresie.

Termin cyber kojarzy się z zagrożeniem wyłącznie ‘elektronicznym’ lub ‘internetowym’, dotyczącym danych cyfrowych i systemów IT. W rzeczywistości ubezpieczenie dawać powinno znacznie szerszą ochronę, obejmując ujawnienie lub utratę danych poufnych, korespondencji i dokumentów w innych formatach – na papierze i nośnikach analogowych. Ubezpieczenie cyber ma za zadanie zapewnić dostęp ubezpieczonemu do specjalistycznego know-how agencji public relations, ekspertów ds. ochrony danych oraz systemów IT i kryminalistyki informatycznej (cyber forensics), prawników z zakresu prawa medialnego, prawa pracy, prawa telekomunikacyjnego oraz ochrony danych osobowych.

Elementy ochrony

W typowym ubezpieczeniu cyber spotykamy z reguły następujące elementy ochrony ubezpieczeniowej:

Ubezpieczenie odpowiedzialności cywilnej i kosztów obrony w sprawach o naruszenie prywatności
obejmujące nie tylko odpowiedzialność za nielegalny wyciek danych osobowych (w tym danych wrażliwych) oraz firmowych danych poufnych, lecz także odpowiedzialność wynikającą z wszelkiego naruszenia prawa do prywatności, prawa do wizerunku, itp.

Kary administracyjne za naruszenie prywatności

ubezpieczenie umożliwia zwrot kosztów poniesionych w związku z nałożeniem kar i grzywien administracyjnych lub cywilnych, będących konsekwencją postępowań regulacyjnych o naruszenie prywatności. Dotyczy to także pogwałcenia prawa dotyczącego ochrony danych, w szczególności Ustawy o ochronie danych osobowych – w tym kar nałożonych przez GIODO. Pokryte powinny być także koszty obrony w takich postępowaniach.

Koszty naruszenia bezpieczeństwa informacji

W tym zakresie ubezpieczenie cyber umożliwia zwrot wydatków poniesionych na skutek naruszenia bezpieczeństwa danych osobowych – tak klientów, jak i pracowników ubezpieczonego. Naruszenie danych może polegać na ich utracie, ujawnieniu, uszkodzeniu, kradzieży, wycieku itd.
Z reguły powinien być pokryty zwrot kosztów poniesionych na:

– agencję PR wynajętą do zapobieżenia lub ograniczenia szkód w wizerunku,
– badania z zakres

u kryminalistyki informatycznej oraz obsługę prawną służącą ustaleniu obowiązków ubezpieczonego wynikających z przepisów o ochronie danych,
– wymagane prawem powiadomienie dotkniętych zagrożeniem klientów, a także monitorowanie i podtrzymanie poziomu ich zaufania.

Odpowiedzialność cywilna i koszty obrony w sprawach o naruszenie bezpieczeństwa informacji
Zakres ten obejmuje odpowiedzialność za:

– brak możliwości korzystania z systemu IT ubezpieczonego przez klientów i inne uprawnione osoby trzecie,
– bezprawny dostęp do tego systemu, jego wykorzystanie lub dopuszczenie do fałszywej z niego komunikacji (np. phishing), umożliwiające zainfekowanie, kradzież, wykasowanie lub uszkodzenie danych bądź umożliwiające atak na system lub usługę sieciową osoby trzeciej w celu uniemożliwienia ich działania,
– dopuszczenie do rozsyłania wirusa z systemu IT ubezpieczonego.

Odpowiedzialność multimedialna

Zakres ten z reguły obejmuje ochronę w przypadku zarzutów o:

– zniesławienie, znieważenie i oszczerstwo,
– pogwałcenie prawa do prywatności, naruszenie praw autorskich i innych praw własności intelektualnej (z wyłączeniem jednak naruszenia praw patentowych) podczas publikowania treści w formie elektronicznej (przez strony internetowe, media społecznościowe, e-mailing, newslettery itp.) oraz nieelektronicznej. Można powiedzieć, że w tym zakresie jest to ubezpieczenie OC zawodowej wydawcy, gdyż obecnie prawie każdy publikuje i udostępnia osobom trzecim rozmaite treści, narażając się przy tym na ryzyko.

Cyber wymuszenie

Jest to element zakresu ochrony ubezpieczeniowej podobny do ubezpieczenia kidnap & ransom (K&R), ale w zakresie bezpieczeństwa informacji. Zakres ten powinien zapewnić środki finansowe na przeciwdziałanie celowemu:

– wprowadzeniu szkodliwego wirusa do systemu IT ubezpieczonego,
– przerwaniu pracy tego systemu,
– zniekształcaniu, niszczeniu lub rozpowszechnianiu danych osobowych lub poufnych informacji firmowych przez działającą umyślnie osobę trzecią.

Zakres ten obejmuje:

– koszty oceny tego zagrożenia i adekwatnej reakcji na nie (honoraria specjalistów ds. zarządzania kryzysowego),
– refundację wymuszonej oraz uzasadnionej ekonomicznie płatności na rzecz osoby faktycznie mogącej dokonać powyższych czynów.

Utracony zysk i koszty odtworzenia danych

Ochrona ubezpieczeniowa dotyczy utraconego zysku i kosztów poniesionych na skutek naruszenia bezpieczeństwa prowadzącego do:

– zakłócenia pracy systemu IT lub jego awarii,
– braku możliwości dostępu i korzystania z niego przez uprawnione osoby trzecie. Pokrywa także koszty przywrócenia lub odtworzenia zasobów cyfrowych do stanu bezpośrednio sprzed szkody.

NASTĘPNY

ubezpieczenie cyber ryzyko zarządzanie ryzykiem cyber przestępstwo RODO utrata danych osobowych

Cyber ryzyko w Twojej firmie

6 października 2017 / / Brak komentarzy

O ryzyku i ochronie bezpieczeństwa informacji

Na początek zadajmy sobie kilka pytań:
1. Czy Twoja firma przechowuje dane osobowe albo dane „wrażliwe”, które trzeba chronić?
2. Czy ich ujawnienie mogłoby narazić kogoś na szkodę lub stanowiłoby naruszenie prawa?
3. Czy dane te tworzą wartość Twojej firmy, a ich utrata lub ujawnienie może stanowić szkodę?
4. Czy Twoja firma wykorzystuje system informatyczny, do którego brak dostępu lub którego utrata wiarygodności może spowodować przestój lub znacząco utrudnić funkcjonowanie firmy?
5. Czy wiarygodność Twojej firmy jest ważna dla Twoich klientów?
6. Czy do promocji swoich usług lub produktów wykorzystujesz nowe technologie (np. media społecznościowe, stronę internetową, mailing)?

Odpowiedź TAK na którekolwiek z wyżej postawionych pytań powinna skłonić Cię do przemyślenia zakupu ubezpieczenia Cyber.
Nawet wtedy, gdy na stałe zatrudniasz specjalistę w zakresie informatyki śledczej.

Zarządzanie ryzykiem

Jak ważnym zagadnieniem jest bezpieczeństwo informatyczne przedsiębiorstw, łatwo się zorientować nie tylko z bieżących doniesień prasowych, ale także z analizy tego, w jakim stopniu procesy w firmie są zależne od IT – od komunikacji, przez dostęp do zasobów cyfrowych, po organizację procesów biznesowych. Ile danych osób trzecich w związku z prowadzoną działalnością przyjmujemy, stając się za nie odpowiedzialnymi – od danych osobowych po poufne informacje handlowe.
Ubezpieczenie cyber nie zastąpi kompleksowego zarządzania bezpieczeństwem informacji, stanowi jednak jego istotny element.

Hybrydowy charakter polisy cyber

Ubezpieczenie Cyber jest dzisiaj najszybciej rozwijającą się gałęzią ubezpieczeń na świecie, pokrywającą w jednej polisie:

– odpowiedzialność cywilną za wyciek lub utratę danych,
– odpowiedzialność cywilną za naruszenie dóbr osobistych i praw własności intelektualnej w przekazie cyfrowym,
– odpowiedzialność cywilną i koszty reakcji w razie naruszenia bezpieczeństwa własnych komputerów, skutkujące usunięciem lub zmianą danych, wysyłaniem szkodliwego wirusa, odmową wykonania należnej komuś usługi itp.,
– koszty obrony oraz kary w przypadku naruszenia prawa do prywatności,
– koszt odtworzenia danych i zysk utracony przez ubezpieczonego na skutek przerwy w działalności spowodowanej awarią systemu IT.

Jest to zatem ubezpieczenie o charakterze hybrydowym, zawierające w sobie elementy pokrycia third party loss i first party loss. To ubezpieczenie uwzględniające ryzyko odpowiedzialności cywilnej, ubezpieczenie niektórych kosztów własnych, ubezpieczenie odpowiedzialności z tytułu kar o charakterze administracyjnym, ubezpieczenie kosztów odtworzenia danych, a także utracony zysk wynikający z awarii systemu informatycznego ubezpieczonego, uniemożliwiającej prowadzenie działalności w określonym okresie.

Termin cyber kojarzy się z zagrożeniem wyłącznie ‘elektronicznym’ lub ‘internetowym’, dotyczącym danych cyfrowych i systemów IT. W rzeczywistości ubezpieczenie dawać powinno znacznie szerszą ochronę, obejmując ujawnienie lub utratę danych poufnych, korespondencji i dokumentów w innych formatach – na papierze i nośnikach analogowych. Ubezpieczenie cyber ma za zadanie zapewnić dostęp ubezpieczonemu do specjalistycznego know-how agencji public relations, ekspertów ds. ochrony danych oraz systemów IT i kryminalistyki informatycznej (cyber forensics), prawników z zakresu prawa medialnego, prawa pracy, prawa telekomunikacyjnego oraz ochrony danych osobowych.

Elementy ochrony

W typowym ubezpieczeniu cyber spotykamy z reguły następujące elementy ochrony ubezpieczeniowej:

Ubezpieczenie odpowiedzialności cywilnej i kosztów obrony w sprawach o naruszenie prywatności
obejmujące nie tylko odpowiedzialność za nielegalny wyciek danych osobowych (w tym danych wrażliwych) oraz firmowych danych poufnych, lecz także odpowiedzialność wynikającą z wszelkiego naruszenia prawa do prywatności, prawa do wizerunku, itp.

Kary administracyjne za naruszenie prywatności

ubezpieczenie umożliwia zwrot kosztów poniesionych w związku z nałożeniem kar i grzywien administracyjnych lub cywilnych, będących konsekwencją postępowań regulacyjnych o naruszenie prywatności. Dotyczy to także pogwałcenia prawa dotyczącego ochrony danych, w szczególności Ustawy o ochronie danych osobowych – w tym kar nałożonych przez GIODO. Pokryte powinny być także koszty obrony w takich postępowaniach.

Koszty naruszenia bezpieczeństwa informacji

W tym zakresie ubezpieczenie cyber umożliwia zwrot wydatków poniesionych na skutek naruszenia bezpieczeństwa danych osobowych – tak klientów, jak i pracowników ubezpieczonego. Naruszenie danych może polegać na ich utracie, ujawnieniu, uszkodzeniu, kradzieży, wycieku itd.
Z reguły powinien być pokryty zwrot kosztów poniesionych na:

– agencję PR wynajętą do zapobieżenia lub ograniczenia szkód w wizerunku,
– badania z zakres

u kryminalistyki informatycznej oraz obsługę prawną służącą ustaleniu obowiązków ubezpieczonego wynikających z przepisów o ochronie danych,
– wymagane prawem powiadomienie dotkniętych zagrożeniem klientów, a także monitorowanie i podtrzymanie poziomu ich zaufania.

Odpowiedzialność cywilna i koszty obrony w sprawach o naruszenie bezpieczeństwa informacji
Zakres ten obejmuje odpowiedzialność za:

– brak możliwości korzystania z systemu IT ubezpieczonego przez klientów i inne uprawnione osoby trzecie,
– bezprawny dostęp do tego systemu, jego wykorzystanie lub dopuszczenie do fałszywej z niego komunikacji (np. phishing), umożliwiające zainfekowanie, kradzież, wykasowanie lub uszkodzenie danych bądź umożliwiające atak na system lub usługę sieciową osoby trzeciej w celu uniemożliwienia ich działania,
– dopuszczenie do rozsyłania wirusa z systemu IT ubezpieczonego.

Odpowiedzialność multimedialna

Zakres ten z reguły obejmuje ochronę w przypadku zarzutów o:

– zniesławienie, znieważenie i oszczerstwo,
– pogwałcenie prawa do prywatności, naruszenie praw autorskich i innych praw własności intelektualnej (z wyłączeniem jednak naruszenia praw patentowych) podczas publikowania treści w formie elektronicznej (przez strony internetowe, media społecznościowe, e-mailing, newslettery itp.) oraz nieelektronicznej. Można powiedzieć, że w tym zakresie jest to ubezpieczenie OC zawodowej wydawcy, gdyż obecnie prawie każdy publikuje i udostępnia osobom trzecim rozmaite treści, narażając się przy tym na ryzyko.

Cyber wymuszenie

Jest to element zakresu ochrony ubezpieczeniowej podobny do ubezpieczenia kidnap & ransom (K&R), ale w zakresie bezpieczeństwa informacji. Zakres ten powinien zapewnić środki finansowe na przeciwdziałanie celowemu:

– wprowadzeniu szkodliwego wirusa do systemu IT ubezpieczonego,
– przerwaniu pracy tego systemu,
– zniekształcaniu, niszczeniu lub rozpowszechnianiu danych osobowych lub poufnych informacji firmowych przez działającą umyślnie osobę trzecią.

Zakres ten obejmuje:

– koszty oceny tego zagrożenia i adekwatnej reakcji na nie (honoraria specjalistów ds. zarządzania kryzysowego),
– refundację wymuszonej oraz uzasadnionej ekonomicznie płatności na rzecz osoby faktycznie mogącej dokonać powyższych czynów.

Utracony zysk i koszty odtworzenia danych

Ochrona ubezpieczeniowa dotyczy utraconego zysku i kosztów poniesionych na skutek naruszenia bezpieczeństwa prowadzącego do:

– zakłócenia pracy systemu IT lub jego awarii,
– braku możliwości dostępu i korzystania z niego przez uprawnione osoby trzecie. Pokrywa także koszty przywrócenia lub odtworzenia zasobów cyfrowych do stanu bezpośrednio sprzed szkody.

 

NASTĘPNY